Coordinated Vulnerability Disclosure

BDO vindt de veiligheid van systemen, infrastructuur en diensten erg belangrĳk. Ondanks dat er veel zorg wordt besteed aan de beveiliging hiervan, kan het voorkomen dat er toch een kwetsbaarheid aanwezig is.

Als u een kwetsbaarheid in onze omgeving heeft gevonden horen wij dit graag, zodat we zo snel mogelĳk maatregelen kunnen treffen. Wij willen graag met u samenwerken om onze klanten en onze omgeving beter te kunnen beschermen.

Ons coordinated vulnerability disclosure beleid is geen uitnodiging om geautomatiseerd en uitgebreid onze systemen, infrastructuur en/of diensten te scannen naar kwetsbaarheden.

Wij vragen u:

Uw bevindingen zo snel mogelijk te mailen naar [email protected]
Het probleem niet te misbruiken door bijvoorbeeld meer data te downloaden dan nodig is om het lek aan te tonen of gegevens van derden in te kijken, verwijderen of aanpassen.
Het probleem niet met anderen te delen totdat het is opgelost en alle vertrouwelijke gegevens die zijn verkregen via het lek direct op een veilige manier te wissen.
Geen gebruik te maken van aanvallen op fysieke beveiliging, social engineering, denial of service (DoS/DDoS), spam of applicaties (vulnerability scanners) van derden.
Voldoende informatie te geven om het probleem te reproduceren zodat wij het zo snel mogelijk kunnen oplossen. Meestal is het IP-adres of de URL van het getroffen systeem en een omschrijving van de kwetsbaarheid voldoende, maar bij complexere kwetsbaarheden kan meer nodig zijn.

Wat wij beloven:

BDO reageert binnen vijf werkdagen op uw melding met onze beoordeling van de melding en een verwachte datum voor een oplossing.
BDO behandelt uw melding vertrouwelijk en zullen uw persoonlijke gegevens niet zonder uw toestemming met derden delen tenzij dat noodzakelijk is om een wettelijke verplichting na te komen.
BDO houdt u op de hoogte van de voortgang van het oplossen van het probleem,
In berichtgeving over het gemelde probleem zal BDO Nederland, indien u dit wenst, uw naam vermelden als de ontdekker.
Het is helaas niet mogelijk om bij voorbaat juridische stappen uit te sluiten. BDO acht zichzelf moreel verplicht om aangifte te doen op moment dat we het vermoeden hebben dat zwakheden of gegevens misbruikt worden, of dat u kennis over de zwakheid met anderen heeft gedeeld. U kunt erop rekenen dat wanneer de richtlijnen van deze Coordinated Vulnerability Disclosure gevolgd worden, het melden niet tot aangifte zal leiden.

BDO streeft ernaar om alle problemen zo snel mogelijk op te lossen, alle betrokken partijen op de hoogte te houden en wordt graag betrokken bij een eventuele publicatie over het probleem, nadat het is opgelost.

Publicatiedatum: 11-06-2020
Versienummer: 1.0.0

Met dank aan de voorbeeldtekst van Floor Terra op https://responsibledisclosure.nl/